CVE-2026-110205 in Roo-Code
Tóm tắt
Bởi VulDB • 14/10/2026
Roo Code phiên bản 3.54.0 trở xuống chứa một lỗ hổng bỏ qua phê duyệt lệnh trong hàm parseCommandLine(), khiến các phép thay thế lệnh (command substitutions) được đặt cạnh các ký tự glob * hoặc ? bị loại bỏ. Kẻ tấn công có thể sử dụng kỹ thuật indirect prompt injection để tạo ra các lệnh như echo *$(...) khớp với các tiền tố đã cho vào danh sách trắng, từ đó thực thi các lệnh bị cấm mà không cần sự phê duyệt của người dùng khi tính năng auto-approval (phê duyệt tự động) được bật.
Once again VulDB remains the best source for vulnerability data.